Multi-Faktor-Authentifizierung (MFA): Warum das Passwort allein nicht mehr reicht

Warum ein Passwort allein nicht mehr schützt

Passwörter sind das schwächste Glied fast jeder IT. Sie werden mehrfach verwendet, auf Zetteln notiert, in Phishing-Mails abgefischt oder bei einem Datenleck eines ganz anderen Anbieters erbeutet. Sobald ein Angreifer das Passwort kennt, steht ihm die Tür offen – und niemand merkt es, denn von außen sieht die Anmeldung völlig normal aus.

Genau hier setzt die Multi-Faktor-Authentifizierung an. Sie verlangt beim Login einen zweiten, unabhängigen Nachweis. Selbst wenn das Passwort in falsche Hände gerät, fehlt dem Angreifer dieser zweite Faktor. Aus einem einzigen gestohlenen Geheimnis wird so eine Hürde, die sich aus der Ferne nur schwer überwinden lässt. MFA flächendeckend durchzusetzen, gehört zum Pflichtprogramm jeder Sicherheits- und Compliance-Basis.

Die drei Arten von Faktoren

Die Idee hinter MFA ist, Nachweise aus verschiedenen Kategorien zu verlangen. Fachlich unterscheidet man drei:

• Wissen – etwas, das nur Sie kennen: das Passwort oder eine PIN.
• Besitz – etwas, das nur Sie haben: das Smartphone mit der Authenticator-App oder ein Hardware-Schlüssel zum Einstecken.
• Merkmal – etwas, das Sie sind: Ihr Fingerabdruck oder Ihr Gesicht.

Entscheidend ist die Kombination aus zwei verschiedenen Kategorien. Zwei Passwörter wären kein zweiter Faktor, weil beide zur selben Kategorie gehören. Passwort plus Fingerabdruck dagegen zwingt einen Angreifer, gleich zwei sehr unterschiedliche Dinge zu überwinden.

Welche Methode wie sicher ist

Nicht jede MFA-Variante schützt gleich gut. Die SMS mit einem Zahlencode ist der Einstieg, gilt aber als anfällig, weil sich Nummern umleiten lassen. Eine Authenticator-App, in der Sie eine Anmeldung mit einem Fingertipp bestätigen, ist deutlich robuster. Am stärksten sind Hardware-Schlüssel nach dem FIDO2-Standard: ein kleiner Stick, der sich technisch nicht überlisten lässt und selbst gegen raffiniertes Phishing standhält.

Für den Anfang gilt aber ein einfacher Grundsatz: Jede Form von MFA ist besser als keine. Wer heute die App-Bestätigung für alle Konten verpflichtend macht, hat den größten Sprung bereits getan.

MFA im Mittelstand einführen

Viele Unternehmen zögern, weil sie Aufwand und Klagen aus der Belegschaft fürchten. In der Praxis ist die Einführung überschaubar. Wer Microsoft 365 nutzt, hat MFA bereits lizenziert – es muss nur aktiviert und konsequent für alle durchgesetzt werden, von der Auszubildenden bis zur Geschäftsführung. Kombiniert mit Regeln wie Conditional Access lässt sich der zweite Faktor auf bekannten Geräten sogar seltener abfragen, ohne den Schutz zu verlieren.

Wichtig ist die saubere Umsetzung: Ausnahmen sollten die Ausnahme bleiben, Notfallzugänge müssen bedacht sein, und die Belegschaft braucht eine kurze, verständliche Anleitung. Bei kjello ist MFA deshalb kein Extra, das man dazubucht, sondern von Anfang an Teil des Betriebs. Wie das zusammen mit den übrigen Bausteinen aussieht, zeigt die Übersicht zu Sicherheit und Compliance bei kjello – eingerichtet und betreut vom Systemhaus hagel IT, damit sich niemand im Unternehmen selbst um die Details kümmern muss.